Хорошее фишинговое письмо из учебника обязано себя выдать: вложение, ссылка, макрос, кнопка «включить контент». В письмах Laundry Bear нет ничего из этого. Ни аттача, ни линка, ни макроса – тема банальная, тело похоже на автоматическую сводку по рынку газа или по полупроводниковым цепочкам, получатель скользит по нему взглядом и закрывает как спам. К этому моменту его ящик уже вскрыт.
Группу знают под тремя именами – TA488 у Proofpoint, Void Blizzard у Microsoft, Laundry Bear у нидерландской разведки, а в федеральных обвинениях США за ней числится частный подрядчик, работающий на российскую разведку. Но интересна не бирка, а инструмент. Больше года эта команда долбит в одну точку – почтовый веб-клиент – и делает это письмом, которое нужно только открыть. Сначала Zimbra, теперь Outlook Web Access. Пройдём обе главы подряд: как эксплойт прячется в теле письма, как имплант садится в браузер, откуда берёт команды и как выносит добычу – и что именно поменялось в железе между двумя поколениями закладки.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Автор: hacker@shifry.local